Чому рядку scramble у профілі .ovpn потрібен пропатчений клієнт

Профіль із рядком scramble імпортується в офіційний клієнт і потім збоїть на рукостисканні, або імпортується з мовчки відкинутим рядком і підключається ні до чого. Директива належить пропатченій збірці OpenVPN, а не початковому набору функцій, тому клієнт без цього патча не може говорити отриманим протоколом. Додавання рядка до звичайного профілю не додає реалізацію. Сумісність має бути на обох кінцях, перш ніж файл щось означатиме.

Сприймайте це спершу як питання протоколу, а потім як питання крамниці застосунків.

Це не вподобання, а формат на дроті

Патч scramble змінює те, як пакети тунелю виглядають на дроті, зазвичай застосовуючи XOR до корисного навантаження зі спільним значенням. Це змінює байти, які обидві сторони мають створювати й приймати, що робить це угодою про формат, а не локальним налаштуванням. Якщо одна сторона застосовує перетворення, а інша ні, виходить сесія, яка проходить автентифікацію і потім не несе нічого корисного. Налаштування має сенс лише тоді, коли обидва кінці виконують ту саму пропатчену поведінку.

Два продукти можуть обидва рекламувати обфускацію і все одно реалізовувати несумісні перетворення. Назва в меню — не специфікація; специфікацією є фактична збірка оператора.

Імпорт файлу — це не сумісність

Клієнти по-різному поводяться з невідомою директивою. Одні одразу відхиляють профіль, інші попереджають і продовжують, а треті відкидають рядок і підключаються звичайним рукостисканням. Останній випадок небезпечний, бо тунель може встановитися із сервером, який приймає обидва варіанти, і потім збоїти лише на трафіку. Тому успішний імпорт доводить, що парсер витримав рядок, а не те, що з'єднання працюватиме.

Перевіряйте тим клієнтом і збіркою, які справді потрібні розгортанню, проти сервера, який оператор справді запускає.

APK — це рішення про ланцюг постачання

Пропатчена збірка Android існує тому, що хтось її скомпілював, і її існування нічого не говорить про те, хто її тепер підтримує. Перш ніж схвалити одну, власник розгортання має переглянути ревізію джерел, з якої вона походить, спосіб застосування патча, ідентичність підпису та шлях оновлення. VPN-застосунок працює з обліковими даними й усім охопленим трафіком, тому стороння сторінка завантаження не є прийнятним органом розповсюдження.

Запитайте в оператора сервісу підтримувану комбінацію клієнта та її поточний канал встановлення. Якщо цього каналу більше немає, у розгортання є проблема обслуговування, якої старий двійковий файл не вирішує.

Обфускація — це не шифрування і не скритність

Зміна видимого формату пакетів не замінює шифрування і не гарантує, що мережа не зможе класифікувати з'єднання. Час, репутація кінцевої точки й навколишній трафік досі несуть інформацію. Зберігайте перевірки ідентичності сервера, на які спирається профіль, наприклад перевірку сертифіката за очікуваним ім'ям, навіть коли мета додаткового шару — змінити вигляд.

Не замінюйте tls-crypt або налаштування проксі патчем і не називайте це еквівалентом. Кожне змінює свою частину з'єднання.

Вимагайте підтримувану пару

Гідний результат — це два кінці, які підтримуються і явно сумісні, з задокументованим шляхом оновлення на кожній стороні. Якщо такої пари немає, оцініть підтримуваний транспорт сервера або іншу схему доступу замість того, щоб тримати живою привілейовану стару програму. Це рішення належить власнику сервісу, а не тому, хто знайшов APK.

Робочий прапорець scramble у клієнті — це локальне спостереження можливості. Він нічого не говорить про сервер, доки реальна сесія не понесе трафік.